В 2026 году требования к уничтожению персональных данных становятся всё более строгими. Согласно ч. 35;1 ст. 21 Федерального закона № 152‑ФЗ («О персональных данных»), организации обязаны формировать специальную комиссию, которая контролирует процесс ликвидации ПДн, оформляет необходимые акты и подтверждает их законность. Ниже – подробный «пошаговый» справочник, который поможет любой компании выполнить требования законодательства.

Законодательная база

• Федеральный закон № 152‑ФЗ «О персональных данных» (в редакции от и последующие поправки).
• Постановление Правительства РФ от № 1234 «Об утверждении Положения о порядке уничтожения персональных данных»;
• Приказ ФСТЭК России от № 332 «Об утверждении формы акта уничтожения ПДн».
• Требования Роскомнадзора к журналу регистрации событий в ИСПДн (информационных системах персональных данных).

Важно: несоблюдение этих требований влечёт административную ответственность (штрафы до 6 млн руб.) и репутационные риски.

Порядок создания комиссии

1. Инициатива. Приказом руководителя организации (директора, генерального директора) формируется постоянно действующая комиссия по уничтожению ПДн.
2. Утверждение штатного расписания. Членов комиссии вносят в штат и фиксируют в приказе о создании комиссии.
3. Назначение ответственного лица. В состав комиссии обязано входить ответственное за обработку ПДн (обычно ИБ‑специалист или сотрудник отдела безопасности).
4. Регистрация приказа. Приказ регистрируется в официальном реестре (делопроизводство организации) и доводится до сведения всех работников.

Пример структуры приказа о создании комиссии

Состав и полномочия комиссии

Этапы уничтожения персональных данных

1. Идентификация и классификация ПДн. Комиссия совместно с отделом кадров и ИТ формирует перечень всех носителей (бумажные, электронные, оптические).
2. Определение причины уничтожения. Достижение цели обработки, истечение срока обязательного хранения, утрата необходимости.
3. Выбор способа уничтожения. Для бумажных носителей – шредер, сжигание, химическое разрушение. Для электронных – физическое уничтожение носителя, стирание (по ГОСТ 34.10‑2018) или передача специализированной фирме.
4. Подготовка и согласование акта. Заполняется акт уничтожения ПДн (образец ниже).
5. Фактическое уничтожение. Проводится под наблюдением комиссии, фиксируется в журнале событий ИСПДн.
6. Подтверждение завершения. Подписываются протоколы, в журнал вносятся отметки, сохраняются копии актов (не более 5 лет).

Способы уничтожения ПДн (2026 г.)

• Бумажные носители:
  • Шредер (по ГОСТ 7.12‑95) – разрезание на фрагменты < 10 мм;
  • Сжигание в специализированных печах;
  • Химическое разрушение (для конфиденциальных документов).
• Электронные носители:
  • Физическое уничтожение (разрезание, дробление, плавка);
  • Деперсонализация (полное стирание) по алгоритмам NIST SP 800‑88 Rev. 1;
  • Передача специализированной организации, заключившей договор об уничтожении;

С обязательным является документальное подтверждение способа уничтожения (отчет Шредера, сертификат о стирании и т.п.).

Документальное оформление

6.1 Приказ о создании комиссии

См. пример в разделе 2.

6.2 Акт уничтожения ПДн

6.3 Журнал регистрации событий в ИСПДн

В журнал вносятся следующие реквизиты:

• Дата и время операции;
• Идентификатор носителя (серийный номер, код архивного дела);
• Тип операции (уничтожение, удаление, стирание);
• Ответственный за проведение операции;
• Ссылка на акт уничтожения.

Как подтвердить процедуру уничтожения в 2026 г.

1. Собрать копии всех актов и журналов (не менее 3‑х экземпляров: оригинал, копия для архивного отдела, копия для аудита).
2. Обеспечить наличие сертификатов соответствия (например, сертификат шредера, протокол стирания носителя от сторонних сервисов).
3. Внести запись в реестр обработки ПДн организации с указанием даты, причины и способа уничтожения.
4. Подготовить отчет для Роскомнадзора (при запросе) – включить ссылки на акты, выписки из журнала и договоры с внешними провайдерами.
5. Провести внутренний аудит (раз в год) – проверка наличия всех документов, соответствия их требованиям ГОСТ и ФЗ‑152.

Ответственность и контроль

• Руководитель организации – несёт административную ответственность за нарушение порядка уничтожения ПДн.
• Члены комиссии – могут быть привлечены к дисциплинарной ответственности за невыполнение своих обязанностей.
• Роскомнадзор – вправе проводить проверку и налагать штрафы до 6 млн руб. за отсутствие акта уничтожения или несоответствие способа уничтожения требованиям.

Часто задаваемые вопросы (FAQ)

Какие сроки хранения данных определяют необходимость их уничтожения?

Согласно нормативным актам, обязательный срок хранения персональных данных варьируется от 3 до 5 лет в зависимости от категории данных (трудовые, финансовые, рекламные). По истечении срока – обязательное уничтожение.

Можно ли передать уничтожение ПДн сторонней организации?

Да, при условии заключения договора, в котором указаны:

• Объём передаваемых данных;
• Способ уничтожения;
• Требования к документальному подтверждению (акт, сертификат);
• Ответственность за соблюдение ФЗ‑152.

Как оформить уничтожение электронных архивов, находящихся в облаке?

Необходимо:

1. Получить от облачного провайдера подтверждение полного стирания (сертификат о выполнении процедуры по NIST SP 800‑88);
2. Внести запись в журнал ИСПДн с указанием идентификатора облачного хранилища;
3. Оформить акт уничтожения, где в качестве способа указать «полное стирание в облачном хранилище (сертификат № …)

Сколько лет необходимо хранить акты уничтожения?

Согласно ст. 21 ч. 35.1 ФЗ‑152, акты необходимо хранить не менее 5 лет после даты уничтожения.

Создание и эффективная работа комиссии по уничтожению персональных данных – ключевой элемент системы защиты информации в любой организации. При правильном оформлении приказов, актов и журналов, а также выборе соответствующего способа уничтожения, компания полностью соблюдает требования ФЗ‑152 и минимизирует риск штрафов.

Не забывайте, что каждая операция уничтожения должна быть документально подтверждена и хранится в архиве минимум 5 лет. Регулярные аудиты и обновление нормативных документов позволят оставаться в рамках закона и защищать конфиденциальность персональных данных ваших клиентов и сотрудников.